Abo
  • Services:
Anzeige
Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind.
Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind. (Bild: Screenshot)

Verschlüsselung: Mehrfach genutzte SSH-Keys weit verbreitet

Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind.
Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind. (Bild: Screenshot)

Bei einem Scan des Internets hat sich herausgestellt, dass Hunderttausende von Geräten denselben SSH-Schlüssel nutzen. Teilweise liegt das an Fehlern, teilweise an fragwürdigen Konfigurationsentscheidungen.

Anzeige

Der IT-Sicherheitsforscher John Matherly hat herausgefunden, dass Hunderttausende Geräte an öffentlichen IPs dieselben SSH-Serverschlüssel einsetzen. Der am häufigsten genutzte Key stammt von Geräten des spanischen Internetproviders Telefónica. Offenbar wurden Router an Kunden ausgeliefert, die ein öffentliches SSH-Interface anbieten und dafür einen Standardschlüssel einsetzen, der auf allen Geräten derselbe ist. Der Key von Telefónica wurde auf circa 250.000 Geräten verwendet. Matherly hat dies bei der Analyse von Daten festgestellt, die bei Scans des Internet-Adressraums gesammelt wurden.

140.000 IPs von 1&1 mit demselben Key

Während im Fall von Telefónica klar sein dürfte, dass es sich um eine Sicherheitslücke handelt, ist das in anderen Fällen weniger eindeutig. So findet sich ein Key von 1&1 auf 140.000 verschiedenen IPs. Die IPs betreffen Webhosting-Server, vermutlich handelt es sich um eine deutlich geringere Anzahl an Servern, die für verschiedene IPs zuständig sind. Auf mehreren Servern denselben Schlüssel zu verwenden, ist nicht direkt ein Sicherheitsrisiko - es gilt allerdings als schlechte Praxis. Wird nur ein einziger Server davon gehackt, besitzt ein Angreifer den Key für alle anderen Server.

In vielen Fällen sind dies Sicherheitsprobleme, die schon lange bekannt oder auch öffentlich dokumentiert sind. Router des deutschen Herstellers Lancom wurden in früheren Versionen mit einem Standard-SSH-Schlüssel ausgeliefert. Ein Geheimnis ist das nicht, man kann es im Handbuch für das auf den Geräten verwendete Betriebssystem LCOS nachlesen.

Der Metasploit-Entwickler HD Moore hat auf Github ein Repository angelegt, in dem er Informationen über problematische SSH-Keys sammelt. HD Moore ruft auf Twitter dazu auf, Informationen über weitere problematische SSH-Schlüssel zu sammeln und ihm als Pull-Request zu schicken.

Auch Login-Keys von Geräten öffentlich bekannt

Besonders problematisch: In einigen Geräten findet man auch Keys zum Einloggen, die von vielen Systemen geteilt werden. Ist ein Angreifer im Besitz eines solchen Keys, kann er das Gerät direkt übernehmen. Bei Server-Keys lassen sich die betroffenen Schlüssel hingegen für eine Man-in-the-Middle-Attacke nutzen. Das ist allerdings deutlich aufwendiger.

Bereits 2012 hatte ein Forscherteam um die Kryptografin Nadia Heninger eine ähnliche Untersuchung vorgenommen und dabei diverse Sicherheitsprobleme mit kryptografischen Schlüsseln gefunden. In der FAQ zur entsprechenden Forschungsarbeit steht, dass damals 10 Prozent der SSH-Server Keys verwendeten, die aufgrund von Sicherheitslücken von mehreren Systemen eingesetzt würden. Systeme wie die von 1&1, bei denen es sich vermutlich nur um eine ungünstige Konfiguration handelt, wurden dabei bereits herausgerechnet. Bei vielen der betroffenen Geräte handelte es sich auch um Keys, die direkt beim Booten erstellt werden - zu einem Zeitpunkt, zu dem auf dem System noch kein funktionierender Zufallszahlengenerator zur Verfügung steht.


eye home zur Startseite
Cyb3rfr3ak 19. Feb 2015

So ein Quatsch... und ein Key Paar wird da schon gar nicht erzeugt.. 1) Client verbindet...



Anzeige

Stellenmarkt
  1. afb Application Services AG, München
  2. IABG Industrieanlagen-Betriebsgesellschaft mbH, Koblenz, Ottobrunn bei München
  3. MBtech Group GmbH & Co. KGaA, Neu-Ulm, Lindau
  4. Dataport, Rostock


Anzeige
Blu-ray-Angebote
  1. (u. a. Hobbit Trilogie Blu-ray 44,97€, Batman Dark Knight Trilogy Blu-ray 17,99€)
  2. 23,99€ (Vorbesteller-Preisgarantie)
  3. (u. a. 10€ Rabatt auf Game of Thrones, reduzierte Box-Sets und 2 Serien-Staffeln auf Blu-ray für...

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Surge 1

    Xiaomis erstes Smartphone-SoC ist ein Mittelklasse-Chip

  2. TC-7680

    Kabelmodem für Gigabit-Datenraten vorgestellt

  3. Störerhaftung

    Regierung will Netzsperren statt Abmahnkosten

  4. Voice ID

    Alexa soll Nutzer an der Stimme erkennen können

  5. Chrome

    Bluecoat bremst Einführung von besserem TLS-Protokoll

  6. HTC D4

    Cog Systems will das sicherste Smartphone der Welt zeigen

  7. Raspberry Pi Zero W

    Zero bekommt WLAN und Bluetooth

  8. Gebäudesteuerung

    Luxusklinik vergaß IT im Netz

  9. Internet.org

    Facebook plant neue Flüge für Solardrohne Aquila

  10. Toughbook CF-33

    Panasonics Detachable blendet mit 1.200 Candela/qm



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Motion Control: Kamerafahrten für die perfekte Illusion
Motion Control
Kamerafahrten für die perfekte Illusion
  1. Konzeptfahrzeug Peugeot Instinct - autonom fahren oder manuell steuern
  2. Später Lesen Mozilla übernimmt Hersteller von Pocket
  3. Senkrechtstarter Solardrohne fliegt wie ein Harrier

Nintendo Switch eingeschaltet: Zerstückelte Konsole und gigantisches Handheld
Nintendo Switch eingeschaltet
Zerstückelte Konsole und gigantisches Handheld
  1. Nintendo Interner Speicher von Switch offenbar schon jetzt zu klein
  2. Hybridkonsole Leak zeigt Menüs der Nintendo Switch
  3. Hybridkonsole Hardware-Details von Nintendo Switch geleakt

Blackberry Key One im Hands on: Android-Smartphone mit toller Hardware-Tastatur
Blackberry Key One im Hands on
Android-Smartphone mit toller Hardware-Tastatur
  1. Lenovo Moto Mod macht Moto Z zum Spiele-Handheld
  2. Alternatives Betriebssystem Jolla will Sailfish OS auf Sony-Smartphones bringen
  3. Digitale Assistenten Google und Amazon kämpfen um Vorherrschaft

  1. Aufbrechen der Kanalgrenzen durch DOCSIS 3.1

    M.P. | 15:49

  2. Re: Bei mir ist das schon Modifikation, wenn ....

    Moe479 | 15:48

  3. Re: Alternativen?

    Phantom | 15:46

  4. Re: Interplanetare Flüge?

    Sensei | 15:42

  5. Re: Was ist daran "durchaus brauchbar"?

    Reci | 15:40


  1. 15:23

  2. 14:57

  3. 14:40

  4. 14:28

  5. 13:44

  6. 12:47

  7. 12:21

  8. 12:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel